Générateur de mot de passe

Qu’est-ce qu’un mot de passe vraiment robuste ?

Posez la question autour de vous, et la réponse sera presque toujours la même : un bon mot de passe, c’est une majuscule, un chiffre, un caractère spécial. C’est ce qu’on répète depuis quinze ans. Et c’est faux, ou en tout cas très incomplet.

Ce qui protège réellement un mot de passe, ce n’est pas sa complexité apparente, c’est sa longueur. Un attaquant ne devine pas votre mot de passe : il le teste, des milliards de fois par seconde, avec des machines conçues pour ça. Chaque caractère supplémentaire multiplie le temps nécessaire, alors qu’un point d’exclamation à la fin ne le multiplie presque pas.

La longueur compte plus que les caractères spéciaux

Prenons deux exemples que tout le monde comprend. M@r1e75! a l’air sérieux : huit caractères, une majuscule, des chiffres, deux symboles. Il tombe pourtant en quelques minutes, parce que les logiciels d’attaque connaissent parfaitement ces substitutions. Remplacer le « a » par « @ » et le « i » par « 1 » est le premier réflexe testé.

À l’inverse, voilà la tortue du 17 n’a rien d’impressionnant à l’œil. Mais avec ses vingt-quatre caractères, il faudrait des siècles pour en venir à bout par force brute. C’est tout le paradoxe : le mot de passe qui semble compliqué est souvent le plus faible des deux.

L’entropie, la seule mesure qui compte

Les spécialistes parlent d’entropie, c’est-à-dire du nombre de combinaisons possibles avant de tomber sur la bonne. Plus elle est élevée, plus le mot de passe résiste. Deux leviers l’augmentent :

• La longueur de la chaîne, et c’est de loin le facteur le plus puissant ;
• La taille de l’alphabet utilisé (minuscules seules, ou minuscules + majuscules + chiffres + symboles).

Ajouter un caractère à un mot de passe de huit signes augmente sa résistance bien plus qu’ajouter un symbole. Retenez cette règle, elle résume l’essentiel du sujet.

Ce que recommandent l’ANSSI et la CNIL

Les recommandations officielles ont nettement évolué ces dernières années, et beaucoup d’entreprises appliquent encore les anciennes. L’ANSSI comme la CNIL ont abandonné le triptyque « 8 caractères, complexité imposée, renouvellement tous les 90 jours », jugé contre-productif : à force de contraintes, les utilisateurs finissent par écrire leurs mots de passe sur un post-it ou par incrémenter un chiffre à chaque changement.

Voici les longueurs minimales conseillées aujourd’hui selon le type de compte :

Type de compte	Longueur minimale	Remarque
Compte courant (site, application)	12 à 16 caractères	Le minimum acceptable en 2026
Compte sensible (messagerie, banque)	16 caractères et plus	Votre e-mail est la clé de tous les autres
Compte administrateur	20 caractères et plus	Une compromission expose toute l’organisation
Mot de passe non mémorisé (stocké)	20 caractères et plus	Aucune raison de se limiter, il est dans un coffre

Point important : le renouvellement périodique n’est plus recommandé pour les comptes classiques. Changer un mot de passe solide tous les trois mois dégrade la sécurité au lieu de l’améliorer, parce que les utilisateurs adoptent alors des variantes prévisibles. On ne change un mot de passe que s’il y a une raison de le faire : une fuite de données, un doute, un appareil perdu.

Comment utiliser ce générateur de mot de passe

L’outil fonctionne entièrement dans votre navigateur. Aucun mot de passe généré n’est transmis, enregistré ou consulté par qui que ce soit, ce qui est la moindre des choses pour ce type de service. Deux modes, selon l’usage que vous comptez faire du résultat :

• Caractères au hasard, pour tout ce que votre gestionnaire retiendra à votre place. Vingt caractères par défaut, jusqu’à soixante-quatre, avec la possibilité d’écarter les caractères qui se confondent (le zéro et la lettre O, le chiffre 1 et le L minuscule) quand le code doit être recopié à la main ou dicté au téléphone ;
• Phrase de passe, pour les rares mots de passe que vous devez retenir par cœur : celui de votre session, celui de votre gestionnaire. Six mots tirés au sort dans une liste de plus de mille trois cents donnent une suite qu’on visualise et qu’on retape sans erreur, tout en résistant bien mieux qu’un mot de passe « compliqué » de huit caractères.

Sous le résultat, une jauge affiche l’entropie en bits et le temps qu’il faudrait pour retrouver le mot de passe en essayant toutes les combinaisons. C’est la seule mesure honnête : elle ne récompense pas la présence d’un point d’exclamation à la fin, elle compte le nombre de possibilités à parcourir.

Un conseil pratique : générez le mot de passe après avoir ouvert votre gestionnaire, pas avant. Vous éviterez la manipulation classique où l’on produit une belle chaîne de vingt caractères, où l’on ferme l’onglet par réflexe, et où il faut tout recommencer.

Les quatre erreurs qui vous exposent le plus

Réutiliser le même mot de passe sur plusieurs sites

C’est de loin l’erreur la plus coûteuse. Les fuites de données massives sont devenues banales, et les identifiants volés sont testés automatiquement sur des dizaines d’autres services. Un seul site négligent suffit alors à compromettre votre messagerie, vos réseaux sociaux et vos comptes marchands. Un mot de passe unique par service n’est pas un luxe, c’est la base.

Bâtir son mot de passe sur des informations personnelles

Prénom des enfants, date de naissance, nom du chien, code postal : ces éléments sont publics ou faciles à trouver sur les réseaux sociaux. Les attaques ciblées commencent systématiquement par là.

Croire aux substitutions astucieuses

Écrire « P@ssw0rd » plutôt que « Password » ne trompe plus personne depuis longtemps. Ces transformations sont intégrées dans tous les dictionnaires d’attaque. Elles ajoutent de la difficulté pour vous, pas pour la machine.

Faire confiance à sa mémoire

Personne ne peut retenir quarante mots de passe uniques de seize caractères. Ceux qui essaient finissent par simplifier, par réutiliser, ou par noter. La mémoire n’est pas la bonne solution au problème, l’outil adapté l’est.

Où conserver vos mots de passe

Une fois vos mots de passe générés, la vraie question devient leur stockage. Trois options se présentent, et elles ne se valent pas.

• Le gestionnaire de mots de passe dédié reste la meilleure réponse. Vous ne retenez qu’un seul mot de passe principal, long et solide, et le logiciel s’occupe du reste : génération, remplissage automatique, alerte en cas de fuite connue. Les solutions open source et auditées, idéalement hébergées en Europe, sont à privilégier si la question de la souveraineté vous importe. J’en cite plusieurs dans ma sélection d’outils pour protéger votre vie privée en ligne ;
• Le gestionnaire intégré au navigateur est un compromis acceptable, nettement meilleur que rien. Sa limite : vos mots de passe sont liés à un écosystème, et la protection dépend beaucoup de la sécurité du compte associé ;
• Le fichier tableur ou le carnet reste malheureusement courant. Un carnet papier rangé chez vous est paradoxalement moins risqué qu’un fichier Excel nommé « codes.xlsx » sur un ordinateur portable, mais aucune des deux options ne devrait être votre solution en 2026.

Le mot de passe ne suffit plus

Même parfait, un mot de passe reste une information unique : si elle fuit, la protection tombe. C’est pourquoi la double authentification change la donne. Elle demande une seconde preuve au moment de la connexion, généralement un code temporaire généré par une application.

Activez-la en priorité sur trois comptes : votre messagerie principale, qui permet de réinitialiser tous les autres, vos accès bancaires, et vos outils professionnels contenant des données clients. Privilégiez une application d’authentification plutôt que le SMS, plus vulnérable au détournement de numéro. Si le sujet de la protection de vos données en ligne vous intéresse au-delà des mots de passe, mon guide pour naviguer anonymement sur internet complète bien cette page.

En résumé : générez un mot de passe long et unique pour chaque service, rangez-le dans un gestionnaire, activez la double authentification sur vos comptes sensibles, et ne changez vos mots de passe que lorsqu’il y a une vraie raison. Ces quatre réflexes couvrent l’essentiel du risque.